Az Azure MCP-kiszolgáló üzembe helyezésének védelme

Azure MCP-kiszolgáló az AI-ügynököket Azure szolgáltatásokhoz csatlakoztatja, eszközöket hajt végre az Ön nevében, és az egyes hívásokat engedélyező jogkivonatokon keresztül közvetíti az Azure erőforrásaihoz való hozzáférést. Mivel az Azure MCP-kiszolgáló az ügynökök és a felhőbeli erőforrások között helyezkedik el, magát az Azure MCP-kiszolgálót, a hozzáférést engedélyező jogkivonatokat, valamint az ügynökökön áthaladó eszközbemeneteket és kimeneteket kell védenie.

Ez a cikk útmutatást nyújt a Azure MCP-kiszolgáló telepítésének legjobb védelméhez.

Hitelesítés és engedélyezés

Az Azure MCP-kiszolgáló Microsoft Entra ID használ a Azure Identitástáron keresztül a hívók hitelesítéséhez. Az MCP engedélyezési specifikációhoz OAuth 2.1 szükséges, ezért az Azure MCP-kiszolgálót OAuth 2.1 erőforráskiszolgálóként kell kezelni. Az ügyfeleknek PKCE-t (a kódhoz Exchange ellenőrző kulcsot) kell használniuk az engedélyezési kódfolyamatok végrehajtásakor. Alkalmazza az alábbi eljárásokat:

  • Ellenőrizze az összes engedélyezési jogkivonatot. Ellenőrizze a kiállítót, a célközönséget és a lejáratot az egyes bejövő engedélyezési jogkivonatokon, mielőtt engedélyezi az eszközök végrehajtását. Ne bízzon meg azokban a jogkivonatokban, amelyekből hiányoznak a szükséges jogcímek, vagy amelyeket egy másik erőforráshoz adtak ki.

  • Engedélyezési jogkivonatok kötése a célközönséghez. Használjon célközönséghez kötött jogkivonatokat, hogy az egyik szolgáltatáshoz kibocsátott jogkivonat ne játssza újra a másikat.

  • Szigorú átirányítási-URI-egyeztetés és ügyfélenkénti hozzájárulás kényszerítése. Az engedélyezési kódfolyamatok esetében csak az előre regisztrált, pontos átirányítási URI-kat engedélyezze, és ügyfélenkénti hozzájárulást igényeljen, így a lehallgatott engedélyezési kódot egy másik ügyfél nem tudja beváltani.

  • Kövesse a minimális jogosultságú RBAC-t. Minden hívónak csak a feladatához szükséges Azure RBAC-szerepköröket adja meg. Az Azure MCP-kiszolgáló tükrözi Azure előfizetési engedélyeit – a széles körű előfizetési hozzáféréssel rendelkező hívók számos eszközt hívhatnak meg. Hatókörszerepkör-hozzárendelések a lehető legszűkebbre. Csak azokat az eszközöket engedélyezze, amelyekre minden hívónak szüksége van, mert minden elérhető eszköz hozzáadja a támadási felületet.

  • A számítási feladatok identitásainak előnyben részesítése. Ügynöki forgatókönyvekben a hosszú élettartamú titkos kulcsok vagy megosztott hitelesítő adatok helyett használjon felügyelt identitásokat vagy számítási feladat-identitásokat. Ha a statikus hitelesítő adatok elkerülhetetlenek – például a számítási feladatok identitását nem támogató külső szolgáltatások API-kulcsai – Azure Key Vault tárolja őket, és hivatkozzon rájuk az üzembe helyezési konfigurációból. A hitelesítő adatokat soha ne tárolja forráskódban vagy egyszerű szöveges konfigurációs fájlokban, és forgassa őket rendszeres ütemezés szerint.

  • Kerülje a zavaros-helyettes mintát. A Azure MCP-kiszolgáló saját Azure identitásának és engedélyeinek hatóköre a működéshez szükséges minimálisra. Ne hagyja, hogy a kiszolgáló olyan helyettesként működjön, amely széles körű jogosultságokat biztosít egy alacsonyabb jogosultságú hívónak: különítse el a kiszolgáló végrehajtási identitását a hívó engedélyétől, és ne kizárólag a kiszolgáló saját hitelesítő adataira támaszkodjon, hanem kényszerítse a hívónkénti engedélyellenőrzéseket.

Távoli Azure MCP-kiszolgálóvédelem

Ha Azure MCP-kiszolgálót távoli, saját üzemeltetésű kiszolgálóként telepíti, érdemes lehet Azure API Management (APIM) mögé helyezni kényszerítési átjáróként:

  • Helyezze a Azure MCP-kiszolgálót egy kényszerítési átjáró mögé. Az APIM érvényesítheti Entra ID jogkivonatokat, mielőtt a kérések elérnék a Azure MCP-kiszolgálót, ami szükségtelenné teszi, hogy az alkalmazáskód megvizsgálja a jogkivonatokat.

  • Átjárószabályzatok alkalmazása a sebességkorlátozáshoz és a naplózáshoz. APIM-szabályzatok használatával korlátozhatja a hívók kéréseinek gyakoriságát, korlátozhatja az engedélyezett eszközútvonalakat, és naplózhat minden kérést naplózás céljából.

  • A hozzáférés-vezérlés központosítása egyetlen fojtóponton. Az átjáró egyetlen fulladási pontot biztosít a hozzáférés-vezérléshez és a megfigyelhetőséghez több alsóbb rétegbeli MCP-eszköz esetében.

Védje azt a végpontot, amelyhez Azure MCP Server-ügyfelek csatlakoznak. A helyettesítő vagy hamisÍTOTT URL-címek eszközvégrehajtási kéréseket fogadhatnak, és hitelesítő adatokat vagy Azure erőforrás-adatokat tehetnek közzé. A kockázat csökkentése:

  • Csak megbízható Azure MCP-kiszolgálóvégpontokhoz csatlakozhat. Csak olyan végpontokat használjon, amelyeket kiépített, vagy amelyeket a csapata az APIM-on keresztül tesz elérhetővé. Ne származtasd a Azure MCP-kiszolgáló URL-címét a felhasználó által megadott bemeneti vagy nem hitelesített felderítési válaszokból.

  • Ellenőrizze az Azure MCP-kiszolgáló TLS-tanúsítványát. Győződjön meg arról, hogy a végpont megfelel a várt gazdagépnek. AZ APIM használatakor irányítsa át az ügyfeleket az átjárón, hogy a háttérvégpont ne irányítható át csendesen.

  • Tanúsítványhibák esetén a hiba lezárva. A nem ellenőrzött vagy ismeretlen Azure MCP Server-tanúsítványt kapcsolati hibaként, nem pedig megkerülendő figyelmeztetésként kezelje.

Az önkiszolgáló lehetőségekről a saját üzemeltetésű Azure MCP-kiszolgáló üzembe helyezése című témakörben olvashat.

Helyi üzembe helyezési megkeményedés

Egy helyi Azure MCP-kiszolgáló fejlesztői környezetben fut fejlesztési célokra. Mivel az Azure identitással is képes működni, tekintse át, hogy a bejelentkezett fiók mit tud elérni, mielőtt az ügynököt Azure erőforrásokhoz csatlakoztatja:

  • Tekintse át a Azure engedélyeit. Ellenőrizze a fejlesztői fiókhoz rendelt Azure RBAC-szerepköröket, és távolítsa el a tevékenységhez nem szükséges széles körű előfizetési vagy felügyeleti csoportengedélyeket.

  • Korlátozza a helyi hozzáférést. Futtassa a helyi Azure MCP-kiszolgálót egy megbízható munkaállomásról vagy tárolóból, és ne tegye közzé a helyi végpontot nem megbízható hálózatok vagy a gép többi felhasználója számára.

  • Tartsa naprakészen a helyi kiszolgálót. Használja az aktuális Azure MCP Server-csomagokat és javított függőségeket, különösen a nem gyártási Azure erőforrások tesztelése előtt.

  • Tesztkörnyezet helyi végrehajtása. Futtassa a helyi Azure MCP-kiszolgálót egy korlátozott fájlrendszerrel és hálózati hozzáféréssel rendelkező tárolóban vagy tesztkörnyezetben, és tartsa a szerszámkarikát javítva, hogy korlátozza a parancsinjektálást és az elérési utat, amikor az eszközök alfolyamatokat hoznak létre.

Ne használjon helyi Azure MCP-kiszolgálót az éles adatok vagy az éles hitelesítő adatok kezeléséhez.

Eszközmérgezés és gyors injektálás

Az MCP-eszközök leírásai és eszközválaszai bemenetek az ügynök környezetéhez. Ha az eszköz metaadatai vagy az eszköz kimenete rosszindulatú, az hatással lehet az olyan ügynökökre, amelyek hozzáférnek Azure MCP-kiszolgáló eszközeihez és a mögöttük lévő Azure engedélyekhez.

Az MCP-kiszolgáló Azure üzemelő példányok kockázatának csökkentése:

  • A hivatalos Microsoft által karbantartott Azure MCP-kiszolgálót részesíti előnyben. Használja a belső Azure MCP-kiszolgálót Azure szolgáltatásokhoz a nem ellenőrzött kiszolgáló helyett, amely hasonló Azure eszközöket tesz elérhetővé. Tekintse át az eszközséma módosításait olyan függőségi változásokként, amelyek felülvizsgálatot igényelnek.

  • Megbízható, de ellenőrizze az eszközkörnyezetet. Az eszközleírások és válaszok kezelése az ügynök nem megbízható bemeneteként. Tekintse át az eszközdefiníciókat az éles használat előtt, és ellenőrizze vagy fertőtlenítse azokat az adatokat, amelyeket az eszköz válaszai visszajuttatnak az ügynökkörnyezetbe.

  • Változásvezérlő eszközdefiníciók. Tekintse át és rögzítse az ismerten jó eszközsémákat és leírásokat, és a frissített eszköz metaadatainak érvénybe lépése előtt újra jóváhagyást igényel, hogy a kiszolgáló ne módosíthassa csendesen a viselkedést a jóváhagyás után (egy ellátási lánc "szőnyeg-lekérése").

  • Használjon Azure biztonsági vezérlőket, amelyek megfelelnek az architektúrának. Értékelje ki Microsoft biztonsági vezérlők vezérlőit az ügynökkörnyezet vizsgálatához, a bizalmas adatfolyamok észleléséhez és Azure AI-számítási feladatok figyeléséhez. Ellenőrizze az egyes integrációs útvonalakat, mielőtt éles környezetben támaszkodik rá.

Külső MCP-kiszolgáló megbízhatósága

Számos fejlesztői környezet egyszerre több MCP-kiszolgálót is futtat. Azure munkához inkább a hivatalos Microsoft által karbantartott Azure MCP-kiszolgálót részesítse előnyben a Azure szolgáltatások közösségi alternatíváival szemben.

Ha külső MCP-kiszolgálót ad hozzá Azure MCP-kiszolgálóhoz:

  • Ellenőrizze a közzétevőt, és frissítse az elérési utat. Megbízható közzétevők kiszolgálóinak használata nyilvános biztonsági kapcsolattartóval. Tekintse át a változásnaplókat és a csomagfrissítéseket, mielőtt a külső kiszolgálót olyan ügynökkörnyezetbe engedené, amely Azure MCP-kiszolgáló eszközeit is elérheti.

  • A hitelesítő adatok környezeteinek elkülönítése. Ne hagyja, hogy egy nem ellenőrzött kiszolgáló megossza a Azure MCP-kiszolgáló által használt hitelesítő adatokat, fájlrendszert vagy hálózati hozzáférést. Futtasson nem megbízható kiszolgálókat a legkisebb jogosultsággal egy elszigetelt környezetben.

  • Tekintse át az eszközöket a teljes ügynökkörnyezetben. A rosszindulatú kiszolgálók az eszközleírásaival befolyásolhatják az ügynökök viselkedését más megbízható kiszolgálók felé ugyanabban a környezetben, beleértve az Azure MCP-kiszolgálót is. Minden konfigurált kiszolgáló eszközleírásait naplózhatja, nem csak a Azure eszközöket.

Irányítás és monitorozás

Nyomon követheti, hogy mely Azure MCP-kiszolgálópéldányok futnak a környezetben, és figyelje a tevékenységeiket:

  • Leltár által jóváhagyott kiszolgálók. Tartsa fenn a regisztrált Azure MCP-kiszolgálóvégpontok ismert alapkonfigurációját, például Azure API Centerrel, hogy észlelhesse a nem regisztrált "árnyék" kiszolgálókat, amelyek kívül esnek a szabályozáson.

  • Tevékenység figyelése és bizonyítékok megőrzése. Korrelálja Azure MCP-kiszolgáló tevékenységeit Microsoft Sentinel, és őrizze meg Microsoft Purview naplókat, hogy kivizsgálhassa a gyanús eszközhívásokat.

Microsoft biztonsági vezérlők

Az alábbi Microsoft biztonsági szolgáltatások segítségével részletes védelmet adhat Azure MCP-kiszolgáló számítási feladataihoz. Az egyes vezérlők alkalmazhatósága az adott üzembe helyezéshez az architektúrától függ. Értékelje ki az egyes vezérlőelemeket a saját környezetének kontextusában:

  • Vizsgálja meg az ügynökkörnyezetet a Prompt Shields használatával. A Azure AI Tartalombiztonság Prompt Shields használatával vizsgálja meg az ügynök környezetébe beírt tartalmakat – beleértve az eszköz leírását és az eszközkimeneteket –, és észlelje a lehetséges parancssori injektálási kísérleteket. A dinamikusan betöltött eszköz metaadatainak használatakor érdemes lehet integrálni a Prompt Shieldst az ügynökfolyamatba. További információ: Parancssori pajzsok.

  • Bizalmas adatfolyamok észlelése a Purview DLP-vel. Ha a számítási feladat kifejezetten integrálva van a Microsoft Purview, a Purview adatveszteség-megelőzési szabályzataival észlelheti és megjelölheti az ügynökökkel társított adatfolyamokban lévő bizalmas adatokat. Az tetszőleges eszközhívási paraméterek lefedettsége nem automatikus – az üzembehelyezési architektúrától és a számítási feladat által használt Purview-összekötőktől függ. Annak kiértékelése, hogy az adott integrációs útvonal támogatja-e a szükséges vezérlőket, mielőtt az ügynöki számítási feladatok DLP-ére támaszkodik. További információt a Microsoft Purview dokumentációjában talál.

  • AI-számítási feladatok monitorozása Defender for Cloud. Használja Microsoft Defender for Cloud AI veszélyforrások elleni védelmet a futtatókörnyezeti fenyegetésészleléshez az AI-számítási feladatokon, beleértve az Azure OpenAI gyanús tevékenységekkel kapcsolatos riasztásokat és Azure AI-modell következtetési szolgáltatás API-hívásait. A lefedettség nem terjed ki automatikusan tetszőleges MCP-eszközkimenetekre – az architektúrában Azure AI-szolgáltatási rétegre vonatkozik. További információkért lásd az AI veszélyforrások elleni védelmét ismertető témakört.

Note

A korábban felsorolt vezérlők általános Azure biztonsági szolgáltatások. Az éles környezetben való engedélyezés előtt ellenőrizze, hogy az egyes vezérlők integrációs útvonala támogatott-e az adott Azure MCP-kiszolgáló üzembehelyezési architektúrájához.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: